AGENCIA DE PROTECCIÓN DE DATOS

Transcripción

1 PLAN DE INSPECCIÓN DE OFICIO AL HOSPITAL GENERAL MILITAR GÓMEZ ULLA (*) Como continuación del Plan de Oficio de Inspección a Hospitales, en 1999 se ha inspeccionado el hospital General Militar Gómez Ulla con dependencia funcional del Ministerio de Defensa. De las actuaciones de investigación y comprobación realizadas por la Inspección de Datos de esta Agencia se han obtenido las siguientes conclusiones: El HOSPITAL GÓMEZ ULLA dispone de los datos de identificación de todos los usuarios del Instituto Social de las Fuerzas Armadas (ISFAS). En 1989 el ISFAS, mediante acuerdo verbal, facilitó a la red hospitalaria del Ministerio de Defensa, los datos de identificación de todos los beneficiarios con cobertura sanitaria militar (beneficiarios y familiares con cobertura) al objeto de asignarles un número de historia clínica. Todo ello por razón de un proyecto de informatización de toda la red hospitalaria del Ministerio de Defensa denominado Proyecto Malta. Posteriormente y con carácter mensual el ISFAS facilita al Hospital GOMEZ ULLA las variaciones habidas, mediante un disquete que incluye Tipo, Parentesco, DNI, Afiliación, nombre y apellidos Estos datos se obtienen a partir de la Tarjeta Sanitaria diseñada al efecto para cuya solicitud es necesaria la cumplimentación de un formulario. Los afectados no han sido informados de que sus datos se facilitan al mencionado Hospital. El resto de los datos de los pacientes son facilitados al Hospital por ellos mismos o son obtenidos como consecuencia de la asistencia sanitaria prestada por dicho centro. En el Hospital GOMEZ ULLA no se informa a los afectados de los puntos incluidos en el artículo 5 de la Ley Orgánica 5/1992, de 29 de octubre. Por otra parte, el impreso de solicitud de tarjeta sanitaria del ISFAS no incluye ninguna cláusula informativa al respecto. Los afectados no han sido informados, por lo que no han prestado su consentimiento para que sus datos facilitados al ISFAS, sean entregados a la red hospitalaria del Ministerio de Defensa y posteriormente tratados por los hospitales. Los médicos informan del estado de los pacientes de forma oral a los familiares directos de los mismos cuando así lo solicitan, siendo el propio médico quién decide el tipo de información a proporcionar. Las personas no allegadas únicamente reciben la información relativa a la cama en la que se encuentran ingresados los pacientes. La solicitud del historial médico suele ser práctica habitual por parte de los pacientes que pasan a la situación de jubilación, por decidir cambiar su cobertura sanitaria al Régimen General de la Seguridad Social. En estos casos realizan la solicitud por escrito en formato libre, siendo la

2 Secretaría General Técnica del Hospital quien facilita un duplicado de la Historia Clínica en un plazo aproximado de una semana. Hasta la fecha ningún paciente ha ejercido su derecho de acceso tal como está regulado en la Ley Orgánica 5/1992, de 29 de octubre. La rectificación de datos de identificación se ejerce directamente en el ISFAS y posteriormente éste comunica al Hospital los cambios producidos. Los datos clínicos no son rectificados a petición del interesado. Hasta la fecha no se ha producido ningún tipo de cancelaciones, por lo que no existen procedimientos al respecto. No se recaban datos relativos a raza, ideología, religión o creencias de los afectados. Únicamente, datos relativos a la salud. Únicamente se ceden datos en las siguientes ocasiones: - Traslado definitivo del paciente a otro centro. - Pacientes que se están dializando y se trasladan definitivamente a otros domicilios, por lo que necesitan realizar la hemodiálisis en otros centros. - En los trasplantes de órganos, el centro que realiza el trasplante recibe datos de los pacientes. En los anteriores casos se facilita un informe clínico en soporte papel. Por otra parte, y al efecto de gestión de costes, se remite al Patronato de Seguro Militar la relación nominal de atenciones médicas realizadas. En dicha relación no se incluye el diagnóstico de los pacientes. Así mismo se remite el Conjunto Mínimo Básico de Datos (CMBD) a la Consejería de Salud de la Comunidad Autónoma de Madrid (CAM) por imperativo de ésta. Como única identificación el CMBD lleva el número de historia. Además se obtiene un soporte magnético con el I.R.P.F. para remitir a la delegación de Hacienda correspondiente y otro soporte magnético con las nóminas para remitir a la entidad bancaria concertada para el pago de las nóminas. En el Laboratorio de Análisis Clínicos, ocasionalmente se solicitan diversas pruebas analíticas al Instituto de Medicina Preventiva y al Instituto de Investigaciones Científicas Carlos III. En tales ocasiones se remite el tubo con la muestra, identificado mediante una etiqueta que contiene nombre y apellidos del paciente. Las muestras de pacientes externos además llevan el número de afiliación al ISFAS o a la Seguridad Social. En el Servicio de Farmacia se confecciona un listado que se remite al ISFAS, que contiene Nº Asegurado, apellidos y nombre, médico, fecha e importe, a efectos de facturación. El Hospital GOMEZ ULLA es un hospital integrado en el proyecto de

3 informatización de hospitales militares denominado Proyecto Malta. En dicho proyecto están incluido la gestión asistencial general a pacientes (Admisión, Urgencias, Citaciones, etc.) y la gestión de Personal. El resto de los servicios del Hospital dispone de aplicaciones departamentales, desarrolladas por personal propio unas y por terceras empresas otras. Las aplicaciones incluidas dentro del Proyecto Malta han sido desarrolladas por la empresa Shared Medical Systems Corp. (S.M.S.) Dado que el contrato formalizado entre dicha empresa y la Secretaría General Técnica del Ministerio de Defensa es de fecha anterior (mayo de 1988) a la entrada en vigor de la Ley Orgánica 5/1992, de 29 de octubre, no existen cláusulas al respecto. Sin embargo, existe un acuerdo de confidencialidad de fecha 9/2/89 firmado por dicha empresa en el que consta Que S.M.S. tiene acuerdo de Seguridad otorgado por Dirección General de Armamento y Material del Ministerio de Defensa en grado de Confidencial desde la fecha 9 de febrero de La aplicación de Anatomía Patológica ha sido desarrollada por la empresa Centro de Cálculo de Sabadell. Para ello, en fecha 28/5/98 se suscribió un contrato entre la Secretaría General Técnica del Ministerio de Defensa y la citada empresa, en el que no figura ninguna cláusula relativa a la Ley Orgánica 5/1992, de 29 de octubre. En ambos casos se trata de contratos administrativos de prestación de servicios de asistencia realizados al amparo de la legislación sobre Contratos del Estado, que tienen por objeto el mantenimiento del soporte lógico aplicado en los ordenadores de la Red Malta, en el primer caso, y el mantenimiento del soporte lógico instalado en los Servicios de anatomía Patológica de los Hospitales de la Red Malta, en el segundo. Se trata de contratos de mantenimiento del Software que no tienen por qué llevar aparejado tratamientos de datos personales. La inspección realizada en el Hospital GOMEZ ULLA es anterior a la entrada en vigor del Reglamento de Seguridad por lo que únicamente se han contemplado aspectos básicos de la misma. La inscripción de ficheros actual se corresponde con la Orden de 26 de julio de 1994, del Ministerio de Defensa en la que entre otros ficheros recoge el de DATOS CLÍNICOS DE PACIENTES, cuyo responsable es la Dirección General de Personal del Ministerio de Defensa. A este fichero podrían corresponder los ficheros Maestro de pacientes, Episodios de Ingresos y Urgencias y Consultas Externas. El citado fichero, según escrito del Secretario General Técnico del Ministerio de Defensa, corresponde al Proyecto Malta, por el que se integran todos los hospitales militares en un solo sistema informático con una única base de datos. Sin embargo en la inspección realizada en el Hospital GÓMEZ ULLA se han encontrado ficheros departamentales con datos de carácter personal, no incluidos en el Proyecto Malta (entre otros, Servicio de Farmacia: Informes de farmacocinética,

4 Laboratorio de Inmunología: Analíticas, Servicio de Hemoterapia: donantes de sangre y analíticas asociadas) y no inscritos en el Registro General de Protección de Datos. A tenor de los resultados expuestos derivados de las actuaciones inspectoras, en el año 2000 el Director de la Agencia dictó las siguientes RECOMENDACIONES para una mejor adecuación de las actuaciones del mencionado Hospital a las prescripciones de la normativa sobre protección de datos, señalándose que dichas recomendaciones se circunscriben exclusivamente a la inspección realizada en el Plan de Oficio al Hospital Militar Gómez Ulla, y sin perjuicio del análisis que deba realizarse respecto de la aplicación de la normativa de protección de datos al conjunto del sistema de asistencia de las Fuerzas Armadas. PRIMERA: DEL DERECHO DE INFORMACIÓN EN LA RECOGIDA DE DATOS Dejando al margen el procedimiento de recogida de datos de carácter personal llevado a cabo por el ISFAS a través de la denominada Tarjeta Sanitaria, que no ha sido objeto de las presentes actuaciones de inspección, cuando sea el propio Hospital Militar GÓMEZ ULLA el que proceda a la recogida de dichos datos de sus propios pacientes, deberán cumplirse las previsiones establecidas en el art. 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de manera que deberá informarse a los afectados de todas las circunstancias previstas en dicho artículo y, en todo caso, de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información, así como de la identidad y dirección del responsable del fichero. Igualmente, cuando se utilicen formularios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legibles, las advertencias o circunstancias mencionadas. No será necesario suministrar dicha información cuando el tratamiento de los datos del afectado sea necesario para salvaguardar el interés vital del afectado o de otra persona en el supuesto de que el afectado esté física o jurídicamente incapacitado o resulte necesario para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria y demás circunstancias previstas en el art. 7.6 de la Ley Orgánica 15/1999. SEGUNDA: DEL TRATAMIENTO DE LOS DATOS ESPECIALMENTE PROTEGIDOS Y DEL CONSENTIMIENTO DEL AFECTADO El art. 7 de la vigente Ley Orgánica 15/1999 regula el tratamiento de datos especialmente protegidos, limitando dicho tratamiento de datos relativos a la salud a aquellos casos en que lo autorice una ley o se obtenga el previo consentimiento del afectado. Sin embargo, el apartado 6 de dicho artículo y el art. 8 contienen una regulación específica para salvar la colisión entre el interés particular del afectado a la

5 confidencialidad de los datos relativos a su salud y el interés general concretado en el derecho a la protección de la salud que reconoce el art. 43 de la Constitución. Este interés general representado por la salud de todos los ciudadanos permite que en las instituciones y centros sanitarios públicos y privados, así como por los profesionales sanitarios se pueda proceder al tratamiento automatizado de datos de carácter personal cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuanto el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento (art. 7.6) o se refiera a datos de salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad (art. 8). En estos casos la Ley excepciona el previo consentimiento del afectado para tratar sus datos de salud. Teniendo en cuenta que las presentes recomendaciones se dirigen exclusivamente al Hospital Militar GÓMEZ ULLA, este Centro podrá tratar los datos de sus pacientes sin el previo consentimiento de los mismos cuando se den las circunstancias previstas en los transcritos artículo 7.6 y 8 de la susodicha Ley Orgánica, si bien garantizando suficientemente la confidencialidad de los datos de salud de los pacientes y su estancia en la institución sanitaria, toda vez que el art de la Ley 14/1986, de 25 de abril, General de Sanidad, en concordancia con las previsiones de la Ley Orgánica 15/1999, reconoce el derecho del ciudadano a la confidencialidad de sus datos de salud y su estancia en las instituciones sanitarias públicas y privadas. TERCERA: DEL EJERCICIO DE LOS DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN Sin perjuicio del derecho que pudieran tener los interesados para ejercitar estos derechos ante otros organismos del Ministerio de Defensa, deberá tenerse en cuenta que el responsable del tratamiento de los datos personales está obligado a facilitar a los interesados el ejercicio de los derechos de acceso, rectificación y cancelación en los términos expuestos en los arts. 15 y 16 de la Ley Orgánica 15/1999. Así mismo, los interesados podrán oponerse al tratamiento de sus datos personales y deberá reconocérseles este derecho cuando se den las circunstancias previstas en el art. 6.4 de la citada Ley.

6 CUARTA: DE LA COMUNICACIÓN O CESIÓN DE DATOS En los términos del art de la Ley Orgánica 15/1999, se permite la comunicación o cesión de datos relativos a la salud sin el previo consentimiento del afectado cuando sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica (art f). Así mismo, la Ley Orgánica 3/1986, de 14 de abril, de medidas en materia de Salud Pública, legitima a las Administraciones Públicas, en materia de enfermedades transmisibles, para adoptar las medidas oportunas para el adecuado control de los enfermos, además de las acciones preventivas de carácter general. En consecuencia, el Hospital Militar GÓMEZ ULLA podrá comunicar o ceder a las Comunidades Autónomas y otras Administraciones Sanitarias los datos de salud por él tratados en los términos expuestos. Dadas las potestades de claro alcance discrecional que la Ley concede a las Administraciones sanitarias, tales cesiones deberán ser lo suficientemente motivadas como para justificar la limitación de los derechos de los afectados, en lo que a la confidencialidad de los datos relativos a la salud se refiere. Cualquier cesión de otros datos personales que, como las nóminas de los empleados del Centro o los relativos al Servicio de Farmacia, no se corresponda con las funciones y servicios sanitarios antes descritos y permitidos por la Ley, sólo podrá efectuarse de conformidad con el art de la Ley 15/1999 cuando se den acumulativamente dos condiciones: que sea para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, y que se cuente con el consentimiento previo del afectado. QUINTA: DE LA INSCRIPCIÓN DE FICHEROS De conformidad con lo previsto en el art. 39 de la Ley Orgánica 15/1999 y art. 5 del Real Decreto 1332/1994, de 20 de junio, deberá procederse a la inscripción en el Registro General de Protección de Datos de esta Agencia de todos los ficheros con datos de carácter personal, sean departamentales o no, de los que sea responsable ese Hospital. SEXTA: DE LOS CONTRATOS CON OTRAS EMPRESAS Dado que los contratos suscritos con las empresas Shared Medical Systems Corp. (S.M.S.) y Centro de Cálculo Sabadell (C.C.S.) lo han sido con la Secretaría General Técnica del Ministerio de Defensa y no con el Hospital Militar GÓMEZ ULLA, destinatario del Plan de Inspección de Oficio de esta Agencia, no cabe hacer recomendaciones al efecto.

7 SÉPTIMA: DE LAS MEDIDAS DE SEGURIDAD Habiéndose publicado con posterioridad al inicio de las actuaciones inspectoras el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de Seguridad, resulta conveniente recordar las exigencias del mismo y particularmente: Que los sistemas de información que no se encontraran en funcionamiento a la entrada en vigor de la norma citada, deberán cumplir las medidas de seguridad correspondientes desde que se produzca su puesta en funcionamiento. Que dado los datos de carácter personal a tratar por esa Institución, sus ficheros deberán adaptarse a las medidas calificadas como de nivel medio por el citado Reglamento de Seguridad cuando contengan datos relativos a la Hacienda Pública o cualesquiera otros datos de los mencionados en el art. 4.2 del citado Reglamento, y a las calificadas como de nivel alto cuando contengan datos de salud o cualesquiera otros datos de los expresados en el art. 4.3 del mismo reglamento El plazo de implantación de las citadas medidas, conforme a lo dispuesto en la disposición transitoria única el mencionado Reglamento de Seguridad, será de un año para las medidas de nivel medio y dos años para las de nivel alto, en ambos casos desde su entrada en vigor el 26 de junio de No obstante lo anterior, las medidas de seguridad de nivel básico, deberán cumplirse, en todo caso, a partir del próximo día 26 de marzo, de conformidad con lo dispuesto en el Real Decreto195/2000, de 11 de febrero. (*) Extracto de las Recomendaciones de 9 de Marzo de 2000, dictadas por el Director de la Agencia de Protección de Datos, D. Juan Manuel Fernández López.